feat(auth): вход через OAuth-провайдеры (GitHub, Google, Discord)

Фаза 7, AGENT.md 7.1: провайдеры включаются переменными окружения
OAUTH_<PROVIDER>_CLIENT_ID/SECRET, привязка внешнего аккаунта идёт по
подтверждённому провайдером email через blind index, вход забаненному на
инстансе запрещён, все входы и привязки попадают в события безопасности,
привязка — ещё и в аудит инстанса.

Внешний идентификатор (subject) хранится только индексом HMAC-SHA-256,
токены провайдеров не сохраняются вовсе; state подписывается ключом сессий
и ограничен по времени, редирект после входа — только внутренний путь.
Если провайдер не настроен, ручка отвечает oauth.provider_not_configured,
а клиент показывает человеческий текст вместо кнопки.

Клиент: кнопки входа по списку включённых провайдеров на экране входа и
раздел «Вход через внешние сервисы» в настройках безопасности; адрес
возврата для настроек приложения виден в GET /auth/oauth/providers.

Миграция 00019 добавляет таблицу oauth_accounts. Установщик и .env.example
знают про OAUTH_* и сохраняют значения при --reconfigure.

Тесты: Go — выключенный провайдер, подписанный state (подмена и чужой
провайдер), создание и повторный вход, привязка к существующему аккаунту,
неподтверждённый email, выключенная регистрация, бан инстанса, mocked
провайдер (httptest) для обмена кода; web — кнопки провайдеров и ошибка
возврата; серверная ручка отдаёт понятный отказ без настроек.

internal/config/config.go

@@ -112,6 +112,13 @@ func Load() (Config, error) {
 		RetainOrphanHours: envInt("RETENTION_ORPHAN_HOURS", 24),
 		RetainInterval:    time.Duration(envInt("RETENTION_INTERVAL_SECONDS", 3600)) * time.Second,
 
+		OAuthGitHubClientID:      env("OAUTH_GITHUB_CLIENT_ID", ""),
+		OAuthGitHubClientSecret:  env("OAUTH_GITHUB_CLIENT_SECRET", ""),
+		OAuthGoogleClientID:      env("OAUTH_GOOGLE_CLIENT_ID", ""),
+		OAuthGoogleClientSecret:  env("OAUTH_GOOGLE_CLIENT_SECRET", ""),
+		OAuthDiscordClientID:     env("OAUTH_DISCORD_CLIENT_ID", ""),
+		OAuthDiscordClientSecret: env("OAUTH_DISCORD_CLIENT_SECRET", ""),
+		OAuthRedirectBase:        env("OAUTH_REDIRECT_BASE", ""),
 	}
 	if cfg.FilesDomain == "" {
 		cfg.FilesDomain = "files." + cfg.Domain
@@ -158,6 +165,9 @@ func (c Config) VoiceEnabled() bool {
 	return c.LiveKitAPIKey != "" && c.LiveKitAPISecret != "" && c.LiveKitURL != ""
 }
 
+// OAuthEnabled сообщает, настроен ли хотя бы один OAuth-провайдер (AGENT.md 7.1).
+func (c Config) OAuthEnabled() bool { return len(c.OAuthProviders()) > 0 }
+
 // WebAuthnEnabled сообщает, годится ли домен инстанса как RP ID для passkeys.
 // WebAuthn не работает на IP-адресах (исключение — localhost), поэтому стенд
 // без домена честно отдаёт `passkeys_enabled: false`, а не ломает вход.